정보보안기사 학습 문제 15 — ISMS-P·키 관리·개인정보 안전조치
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 KISA·NIST·국가법령정보센터의 공개 자료를 근거로 작성했다.
문제 1 — ISMS-P 인증기준의 영역
문제
KISA가 안내하는 ISMS-P 인증기준의 구성으로 옳은 것은?
선택지
- 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구성된다.
- 네트워크 장비 제조, 백신 판매, 침투테스트 결과만 평가한다.
- 개인정보 처리단계별 요구사항만 평가하고 정보보호 관리체계는 평가하지 않는다.
- 인증기준은 조직마다 임의로 만들며 공통 영역이 없다.
정답
1번
해설
KISA의 ISMS-P 제도소개는 인증기준을 ① 관리체계 수립 및 운영, ② 보호대책 요구사항, ③ 개인정보 처리단계별 요구사항으로 안내한다. 따라서 ISMS-P는 기술 설정 하나만 확인하는 점검이 아니라 관리체계·보호대책·개인정보 처리 전반을 함께 보는 인증 체계다. [1]
오답 포인트
보호대책만 확인한다고 해서 관리체계나 개인정보 처리단계 요구사항이 대체되는 것은 아니다. 또한 인증은 특정 보안제품의 보유 여부만으로 결정되지 않는다.
출처 또는 검증 근거
[1] KISA, 「정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 제도소개」: https://pims.kisa.or.kr/main/ispims/intro/
문제 2 — 암호키 관리 원칙
문제
NIST의 암호키 관리 지침 취지에 가장 부합하는 운영은?
선택지
- 암호 알고리즘이 강하면 키의 생성·보관·폐기는 관리하지 않는다.
- 하나의 키를 암호화와 전자서명 등 모든 용도로 영구 사용한다.
- 키의 생성·보관·배포·사용·폐기 수명주기를 관리하고 비밀키·개인키의 노출을 막는다.
- 키를 소스코드에 평문으로 저장해 배포를 단순화한다.
정답
3번
해설
NIST SP 800-57은 암호키 자료의 관리와 키 관리 기능을 다루며, 키의 생성·저장·배포·사용·폐기와 보호를 중요한 관리 대상으로 설명한다. 키 관리가 부실하면 강한 알고리즘을 사용하더라도 보호 대상 정보가 노출될 수 있다. [2]
오답 포인트
알고리즘 강도는 키 관리의 대체재가 아니다. 동일 키의 무제한 재사용과 소스코드 평문 저장은 노출 범위와 회수·교체 문제를 키운다.
출처 또는 검증 근거
[2] NIST, Key Management Guidelines 및 SP 800-57 안내: https://csrc.nist.gov/Projects/key-management/key-management-guidelines
문제 3 — 개인정보 안전성 확보조치의 적용
문제
「개인정보의 안전성 확보조치 기준」의 적용 원칙으로 옳은 것은?
선택지
- 모든 처리자는 데이터 규모와 영향에 관계없이 동일한 조치만 적용한다.
- 개인정보의 보유 수, 유형, 정보주체에게 미치는 영향 등을 고려해 환경에 맞는 안전조치를 적용한다.
- 개인정보를 암호화하면 접근권한 관리와 내부 관리계획은 불필요하다.
- 물리적 조치만 하면 기술적·관리적 조치는 면제된다.
정답
2번
해설
국가법령정보센터의 「개인정보의 안전성 확보조치 기준」은 처리하는 개인정보의 보유 수, 유형 및 정보주체에게 미치는 영향 등을 고려해 환경에 맞는 필요한 조치를 적용하도록 안내한다. 안전조치는 기술적·관리적·물리적 측면을 함께 고려해야 한다. [3]
오답 포인트
암호화 하나로 접근통제, 내부 관리계획, 접속기록, 물리보안을 모두 대신할 수 없다. 조직의 처리 환경과 위험을 고려한다는 것은 보호조치를 생략한다는 뜻도 아니다.
출처 또는 검증 근거
[3] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제3조: https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201